- Son 7 gün
- CWE-23
CVE-2026-115812
AWS Multi Model Server model arşivi çıkarma sırasında göreli yol geçişi (path traversal)
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- AMZN
Yönetici özeti
Bu zafiyet, yapay zekâ modellerini sunmak için kullanılan bir yazılımı etkiliyor ve saldırganların sisteminizin tamamını ele geçirmesine olanak tanıyabilir. Ürünün desteği sona erdiği için kalıcı bir yama yoktur; bu nedenle acil olarak kullanımdan kaldırılması ve desteklenen bir alternatife geçilmesi gerekir.
ÖzetTürkçe
AWS Multi Model Server 1.1.11 ve önceki sürümlerinde, model arşivleri çıkarılırken göreli yol geçişi (CWE-23) zafiyeti bulunmaktadır. Saldırgan, özel hazırlanmış bir model arşivi aracılığıyla hedef sistemde rastgele kod çalıştırabilir. Etkilenen sürümler, bu ürünü model sunucusu olarak kullanan tüm kurulumlardır.
Saldırgan ne yapabilir?
Uzaktan kimlik doğrulaması gerektirmeden saldırgan, sunucuda beklenmeyen dosyalar yazabilir ve rastgele kod çalıştırabilir; bu da sistemin tam ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Relative path traversal during model archive extraction in Amazon Web Services Multi Model Server 1.1.11 and earlier might allow remote actors to execute arbitrary code via a crafted model archive.
Multi Model Server is end of life and no fixed version is available. Users should discontinue use of Multi Model Server and migrate to a supported model serving solution.
Ne yapmalı?
- Multi Model Server'ın destek ömrü sona ermiştir ve bu zafiyet için sabit bir sürüm yayımlanmamıştır. Ürünün kullanımına derhal son verin. Genel öneri
- Modelleri sunmak için desteklenen bir model sunum çözümüne geçiş yapın. Genel öneri
- Geçiş tamamlanana kadar, ürünü yalnızca güvenilir kaynaklardan gelen model arşivlerini işleyecek şekilde kısıtlayın ve sunucuyu internet erişiminden izole edin. Genel öneri
Ek önlemler
- Ürünü ağ tarafında dış erişime kapalı tutun ve yalnızca gerekli iç istemcilerin erişimine izin verin. Genel öneri
- Model arşivlerinin kaynağını doğrulayın ve yetkisiz kaynaklardan gelen arşivleri reddedin. Genel öneri
- Sunucu süreçlerinin beklenmeyen dosya oluşturma veya dizin değiştirme davranışlarını izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| AWS multi-model-server | ≤ 1.1.11 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.